CVE-2025-27112 in Navidrome
Riassunto
di VulDB • 30/06/2026
Navidrome è un server musicale open source basato sul web e uno streamer di musica. A partire dalla versione 0.52.0 e fino alla versione 0.54.5, in determinati endpoint dell'API Subsonic, una falla nel processo di verifica dell'autenticazione consente a un attaccante di specificare qualsiasi nome utente arbitrario che non esiste sul sistema, insieme all'hash salato di una password vuota. In queste condizioni, Navidrome tratta la richiesta come autenticata, concedendo l'accesso a vari endpoint Subsonic senza richiedere credenziali valide. Un attaccante può utilizzare un nome utente inesistente per bypassare il sistema di autenticazione e ottenere accesso ai dati in sola lettura all'interno di Navidrome, ad esempio le playlist degli utenti. Tuttavia, qualsiasi tentativo di modificare i dati fallisce con un errore "permission denied" a causa delle autorizzazioni insufficienti, limitando l'impatto alla visualizzazione non autorizzata delle informazioni. La versione 0.54.5 contiene una patch per questo problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.